GDPR dhe të dhënat e mëdha nuk janë të papajtueshme, por ato detyrojnë një zgjedhje që shumë organizata e shtyjnë për më vonë: përpara se të mbledhni ose ripërdorni një grup të madh të dhënash, duhet të jeni në gjendje të emërtoni bazën ligjore për ta bërë këtë dhe të tregoni se përpunimi është i nevojshëm për atë qëllim. Në praktikë, kjo do të thotë dokumentimi i një baze sipas Nenit 6 të Rregullores së Përgjithshme për Mbrojtjen e të Dhënave, testimi nëse një përdorim i mëvonshëm për trajnimin e një algoritmi është i pajtueshëm me qëllimin për të cilin të dhënat janë mbledhur fillimisht dhe vlerësimi i rrezikut përpara se të ndërtohet modeli i parë. Ky artikull përcakton se si zbatohen këto rregulla për analizat në shkallë të gjerë dhe trajnimin për IA në Holandë, dhe ku Autoriteit Persoonsgegevens vendos vijën ndarëse.
Çfarë llogaritet si të dhëna personale në një grup të dhënash të mëdha
GDPR zbatohet për informacionin që lidhet me një person fizik të identifikuar ose të identifikueshëm. Në një kontekst të të dhënave të mëdha, ky prag tejkalohet shumë më shpesh sesa presin organizatat, sepse identifikueshmëria vlerësohet duke iu referuar të gjitha mjeteve që ka të ngjarë të përdoren, nga kontrolluesi ose nga kushdo tjetër, për të veçuar dikë. Një grup të dhënash identifikuesish pajisjesh, gjurmësh vendndodhjeje, të dhënash transaksionesh ose klikimesh është, pra, pothuajse gjithmonë të dhëna personale, edhe kur nuk shfaqet asnjë emër në një kolonë të vetme.
Dy koncepte ngatërrohen rregullisht, dhe ndryshimi përcakton nëse rregullorja zbatohet fare. Të dhënat e pseudonimizuara, ku identifikuesit janë zëvendësuar, por çelësi ende ekziston diku, mbeten të dhëna personale dhe i nënshtrohen plotësisht GDPR-së. Të dhënat e anonimizuara, ku riidentifikimi nuk është më i mundur në mënyrë të arsyeshme për askënd, bien jashtë tij. Standardi për anonimizim të vërtetë është i lartë: grumbullimi, heshimi ose heqja e identifikuesve të drejtpërdrejtë zakonisht lë gjurmë të mjaftueshme për një palë të vendosur për të riidentifikuar individët, veçanërisht kur të dhënat janë të pasura dhe mbulojnë një periudhë të gjatë.
Kjo ka rëndësi sepse pretendimi se një grup të dhënash është anonim është shpesh supozimi që mbart ngarkesën në një program të tërë të inteligjencës artificiale. Nëse dështon, çdo hap pasues, nga trajnimi deri te orari i ruajtjes, është kryer pa një bazë ligjore. Qasja më e sigurt është trajtimi i grupit të të dhënave si të dhëna personale, përveç nëse një analizë e dokumentuar e riidentifikimit thotë ndryshe, dhe rishikohet ajo analizë kur grupi i të dhënave pasurohet ose kombinohet me një burim tjetër. Bordi Evropian i Mbrojtjes së të Dhënave ka trajtuar gjithashtu se kur një model i inteligjencës artificiale vetë mund të konsiderohet si anonim, dhe përgjigjja e tij është se kjo nuk mund të supozohet: një model i trajnuar mbi të dhënat personale mund të përmbajë ende ato të dhëna në formë të nxjerrë dhe duhet të vlerësohet rast pas rasti.
Zgjedhja e një baze ligjore për trajnimin e të dhënave të mëdha dhe inteligjencës artificiale
Çdo operacion përpunimi ka nevojë për një nga gjashtë bazat në Nenin 6, dhe baza duhet të zgjidhet përpara se të fillojë përpunimi në vend që të rindërtohet më pas. Për analizat në shkallë të gjerë, vetëm tre janë kandidatë realistë.
Pëlqimi është më i pastri në teori dhe më i brishti në praktikë. Ai duhet të jepet lirisht, specifik, i informuar dhe i qartë, dhe duhet të jetë po aq i lehtë për t'u tërhequr sa ishte për t'u dhënë. Pëlqimi që është i përmbledhur në terma të përgjithshëm, i marrë si kusht për një shërbim që nuk ka nevojë për të dhënat, ose i formuluar aq gjerësisht sa individi nuk mund të shohë se për çfarë po bihet dakord, nuk do të jetë i vlefshëm. Kur tërhiqet pëlqimi, ju nevojitet një përgjigje teknike për pyetjen se çfarë ndodh me një model që është trajnuar tashmë.
Domosdoshmëria për përmbushjen e një kontrate është më e ngushtë nga ç’duket. Testi është domosdoshmëria objektive për shërbimin që individi e ka kërkuar në të vërtetë, jo dobia komerciale. Profilizimi i një klienti për të përmirësuar një motor rekomandimesh në përgjithësi nuk është i nevojshëm për ofrimin e produktit që ai ka blerë, dhe Gjykata e Drejtësisë ka hedhur poshtë vazhdimisht përpjekjet për ta zgjeruar këtë fushë për të mbuluar reklamimin dhe personalizimin e sjelljes.
Kjo lë interesat legjitime, të cilat janë baza mbi të cilën mbështetet shumica e përpunimit në shkallë të gjerë. Kjo kërkon tre hapa, të dokumentuar në atë rend: identifikimi i një interesi real dhe të ligjshëm, tregimi se përpunimi është i nevojshëm sepse nuk ka mënyrë më pak ndërhyrëse për ta arritur atë dhe balancimi i interesit kundrejt të drejtave dhe pritjeve të arsyeshme të personave të përfshirë. Në një referencë nga një gjykatë holandeze në lidhje me shoqatën kombëtare të tenisit, Gjykata e Drejtësisë konfirmoi në vitin 2024 se një interes thjesht komercial mund të kualifikohet si një interes legjitim, por vetëm nëse testet e domosdoshmërisë dhe balancimit përmbushen vërtet. Vlera komerciale është, pra, një interes i pranueshëm, jo një licencë.
Kategoritë e veçanta dhe karakteristikat e nxjerra
Të dhënat që zbulojnë origjinën racore ose etnike, mendimet politike, besimet fetare, anëtarësimin në sindikata, shëndetin, jetën seksuale ose orientimin seksual, së bashku me të dhënat gjenetike dhe biometrike të përdorura për identifikim, nuk mund të përpunohen fare, përveç nëse zbatohet një nga përjashtimet e ngushta në Nenin 9. Pëlqimi i shprehur është rruga e zakonshme; të tjerat rrallë përputhen me një grup të dhënash komerciale.
Kurthi në të dhënat e mëdha është se të dhënat e kategorive të veçanta nuk duhet të mblidhen qëllimisht. Kur një grup të dhënash lejon që një karakteristikë e mbrojtur të nxirret në pah, për shembull përmes modeleve të blerjeve, historikut të vendndodhjes ose përmbajtjes së fushave me tekst të lirë, regjimi më i rreptë zbatohet për atë përpunim edhe pse askush nuk e ka bërë kurrë pyetjen drejtpërdrejt. Karakteristikat e modelit që veprojnë si përfaqësues për një karakteristikë të mbrojtur duhet të identifikohen gjatë zhvillimit, jo pas një ankese.
Kufizimi i qëllimit: a mund të ripërdorni të dhënat për të trajnuar një model?
Mundeni, por jo automatikisht. GDPR kërkon që të dhënat personale të mblidhen për qëllime të specifikuara, të qarta dhe legjitime dhe të mos përpunohen më tej në një mënyrë që është e papajtueshme me këto qëllime. Trajnimi i një algoritmi mbi të dhënat që janë mbledhur për përmbushjen e porosive, mbështetjen e klientëve ose parandalimin e mashtrimeve është një operacion i mëtejshëm përpunimi dhe është i ligjshëm vetëm nëse kalon testin e përputhshmërisë që përcakton rregullorja.
Ky test nuk është një formalitet. Ai pyet për lidhjen midis qëllimit fillestar dhe atij të ri, kontekstin në të cilin janë mbledhur të dhënat dhe çfarë mund të presë në mënyrë të arsyeshme individi mbi këtë bazë, natyrën e të dhënave dhe nëse përfshihen kategori të veçanta, pasojat e mundshme të përpunimit të ri dhe ekzistencën e masave mbrojtëse si pseudonimizimi ose enkriptimi. Një grup të dhënash i të dhënave mjekësore ose financiare do të dështojë në test, ndërsa një grup të dhënash i regjistrave operativë të anonimizuar do ta kalonte atë.
Ekziston një rrugë e shkurtër, dhe është më e ngushtë nga ç'mendohet zakonisht. Përpunimi i mëtejshëm për arkivim në interes publik, për kërkime shkencore ose historike ose për qëllime statistikore trajtohet si i pajtueshëm, me kusht që të jenë në vend mbrojtjet për përpunimin e kërkimit. Zhvillimi i modelit komercial i maskuar si kërkim nuk kualifikohet; përjashtimi synon kërkime të vërteta që i nënshtrohen standardeve metodologjike dhe etike, jo përmirësimit të produktit. Kur testi i përputhshmërisë nuk plotësohet, ju nevojitet një bazë e re ligjore dhe, në shumicën e rasteve, informacion i ri për personat e interesuar.
Pasoja praktike është se kufizimi i qëllimit duhet të trajtohet në momentin e mbledhjes. Deklaratat e privatësisë që përshkruajnë qëllimet në terma mjaftueshëm të gjerë sa të jenë të pakuptimta nuk do të kursejnë një seancë trajnimi të mëvonshme, sepse testi shqyrton atë që individi mund të presë në mënyrë të arsyeshme, jo atë që lejon teknikisht hartimi. Udhëzuesi ynë për shkrimin e një politike privatësie në Holandë përcakton se si të përshkruhen qëllimet në një mënyrë që është si e ndershme ashtu edhe e përdorshme.
Minimizimi, ruajtja dhe saktësia kur modeli dëshiron gjithçka
Minimizimi i të dhënave kërkon që të dhënat personale të jenë të përshtatshme, relevante dhe të kufizuara në atë që është e nevojshme. Ky parim është vërtet në konflikt me një metodë zhvillimi, logjika e së cilës është se më shumë të dhëna prodhojnë një model më të mirë, dhe tensioni nuk mund të zgjidhet duke e injoruar atë. Ajo me të cilën mund të zgjidhet është një argument i dokumentuar: cilat fusha janë të nevojshme për qëllimin e deklaruar, çfarë është testuar pa to dhe pse pjesa tjetër është hedhur poshtë. Një kontrollues që mund të tregojë se analiza ka një pozicion të mbrojtshëm edhe kur të dhënat janë të mëdha. Një kontrollues që i ka mbajtur të gjitha sepse ruajtja është e lirë, nuk e ka.
Kufizimi i ruajtjes ngre të njëjtën pyetje me kalimin e kohës. Të dhënat e trajnimit, ruajtja e veçorive, pikat e kontrollit të modelit dhe regjistrat e përfundimeve bien të gjitha brenda detyrimit të ruajtjes dhe secili prej tyre ka nevojë për periudhën e vet të lidhur me një qëllim. Regjistrat e përfundimeve shpesh harrohen dhe shpesh përmbajnë më shumë të dhëna personale sesa përmbante ndonjëherë grupi i trajnimit.
Saktësia është parimi që anashkalohet më shpesh në këtë kontekst dhe ka një avantazh ligjor që është e lehtë të humbasë. Të dhënat personale duhet të jenë të sakta dhe, kur është e nevojshme, të mbahen të azhurnuara, dhe individët kanë të drejtë për korrigjim. Kur një model prodhon një rezultat në lidhje me një person të identifikueshëm, ai rezultat është vetë të dhënë personale. Një përfundim se dikush është me rrezik të ulët krediti, një mashtrues i mundshëm ose një kandidat i papërshtatshëm është të dhëna rreth tyre, mund të jetë i pasaktë dhe mund të kundërshtohet. Ndërtimi i një sistemi në të cilin rezultate të tilla nuk mund të korrigjohen krijon një problem përputhshmërie që asnjë sasi dokumentacioni nuk do ta zgjidhë më pas.
Kur një vlerësim i ndikimit në mbrojtjen e të dhënave është i detyrueshëm
Një vlerësim i ndikimit në mbrojtjen e të dhënave është i detyrueshëm kur një lloj përpunimi ka të ngjarë të rezultojë në një rrezik të lartë për të drejtat dhe liritë e individëve, dhe rregullorja përmend tre raste në veçanti: vlerësimin sistematik dhe të gjerë të aspekteve personale bazuar në përpunimin e automatizuar, duke përfshirë profilizimin, mbi të cilin bazohen vendimet me efekte ligjore ose të ngjashme të rëndësishme; përpunimin në shkallë të gjerë të kategorive të veçanta të të dhënave ose të të dhënave të dënimeve penale; dhe monitorimin sistematik të një zone të aksesueshme publikisht në shkallë të gjerë. Shumica e projekteve serioze të të dhënave të mëdha bien në të parën ose të dytën.
Autoriteit Persoonsgegevens ka publikuar gjithashtu një listë të operacioneve të përpunimit për të cilat kërkohet gjithmonë një vlerësim në Holandë, duke mbuluar fusha të tilla si profilizimi në shkallë të gjerë, vlerësimi sistematik i punonjësve, platformat e të dhënave shëndetësore dhe përdorimi i sistemeve të kamerave. Kjo listë duhet të jetë dokumenti i parë që konsultohet në fillim të një projekti, sepse heq argumentin nëse nevojitet një vlerësim.
Dy pika në lidhje me kohën janë vendimtare. Vlerësimi duhet të kryhet përpara se të fillojë përpunimi, që në një projekt të inteligjencës artificiale do të thotë përpara se të mblidhen të dhënat e trajnimit, jo përpara vendosjes. Dhe kur vlerësimi tregon një rrezik të lartë të mbetur që nuk mund ta zbutni, duhet të konsultoheni me autoritetin mbikëqyrës përpara se të vazhdoni. Anashkalimi i atij konsultimi është në vetvete një shkelje, pavarësisht nëse përpunimi rezulton i ligjshëm.
Një vlerësim i dobishëm për një sistem algoritmik shkon përtej shabllonit standard. Ai regjistron se cilat burime të dhënash ushqejnë modelin dhe mbi çfarë baze, çfarë lejohet të vendosë modeli vetë dhe çfarë vendos një njeri, si i shpjegohet rezultati personit të prekur, si u testuan të dhënat e trajnimit për paragjykime ndaj grupeve të mbrojtura dhe çfarë ndodh nëse modeli është i gabuar. Këto janë pyetjet që një rregullator bën së pari.
Si e zbaton këtë Autoriteit Persoonsgegevens
Autoriteti mbikëqyrës holandez është Autoriteit Persoonsgegevens, i cili zbaton GDPR-në së bashku me aktin zbatues holandez, Uitvoeringswet AVG. Kompetencat e tij variojnë nga një paralajmërim dhe një qortim deri në një urdhër që i nënshtrohet një gjobe, një ndalimi të përkohshëm ose përfundimtar të përpunimit dhe një gjobe administrative. Rregullorja përcakton kufijtë: deri në dhjetë milionë euro ose dy përqind të xhiros vjetore totale në mbarë botën për nivelin më të ulët, dhe deri në njëzet milionë euro ose katër përqind për shkelje të parimeve themelore, bazave ligjore, të drejtave të subjekteve të të dhënave dhe rregullave mbi transferimet ndërkombëtare, cilado shumë që është më e lartë.
Dy tema zbatimi janë të dukshme në praktikën holandeze dhe të dyja kanë të bëjnë drejtpërdrejt me të dhënat e mëdha. E para është transparenca: një pjesë e konsiderueshme e veprimeve të fundit ka të bëjë me deklaratat e privatësisë që nuk shpjegojnë me gjuhë të kuptueshme se cilat të dhëna përdoren, për cilin qëllim dhe për sa kohë. Përshkrimet e paqarta të qëllimit trajtohen si shkelje në vetvete, jo si një e metë në hartim. E dyta është mbikëqyrja algoritmike. Autoriteti ka një njësi të dedikuar për mbikëqyrjen e algoritmeve dhe publikon raporte periodike mbi rreziqet algoritmike, të cilat ia vlen të lexohen si një deklaratë e asaj që pret përpara se të bëhet objekt i një hetimi.
Krahas zbatimit të ligjit, ekziston edhe detyrimi për njoftimin e shkeljes. Një shkelje e të dhënave personale duhet t'i raportohet autoritetit pa vonesë të panevojshme dhe, kur është e mundur, brenda shtatëdhjetë e dy orëve nga marrja e dijenisë për të, përveç nëse shkelja nuk ka gjasa të rezultojë në rrezik për individët; kur rreziku për individët është i lartë, ata duhet të informohen gjithashtu. Në një mjedis të inteligjencës artificiale, vlerësimi është më i vështirë se më parë, sepse një grup trajnimi ose depo veçorish e kompromentuar prek të gjithë të dhënat e të cilëve përmban dhe pasojat shtrihen në çdo vendim që modeli ka marrë. Vini re se ky është një detyrim i veçantë nga detyrimet e raportimit të incidenteve sipas Cyberbeveiligingswet, zbatimi holandez i NIS2, i cili ka zbatuar që nga 15 gushti 2026 dhe imponon afatet e veta të njoftimit prej njëzet e katër dhe shtatëdhjetë e dy orësh për subjektet brenda fushëveprimit të tij. Përmbledhja jonë e NIS2 dhe Aktit holandez të Sigurisë Kibernetike shpjegon se si dy regjimet qëndrojnë krah për krah me njëri-tjetrin.
Akti i Inteligjencës Artificiale nuk e zëvendëson GDPR-në
Akti i Inteligjencës Artificiale i BE-së rregullon sistemet e IA-së si produkte: i klasifikon ato sipas rrezikut dhe vendos detyrime mbi ofruesit dhe shpërndarësit. Ai nuk ofron një bazë ligjore për përpunimin e të dhënave personale, dhe pajtueshmëria me të nuk thotë asgjë në lidhje me pajtueshmërinë me GDPR-në. Kur një sistem IA përpunon të dhëna personale, të dy regjimet zbatohen plotësisht dhe paralelisht.
Orari ka rëndësi për planifikimin. Ndalimet për praktikat e papranueshme, detyrimet për modelet e inteligjencës artificiale për qëllime të përgjithshme dhe detyrimet e transparencës për sistemet që bashkëveprojnë me njerëzit ose gjenerojnë përmbajtje sintetike janë tashmë në fuqi. Regjimi me rrezik të lartë u shty nga paketa dixhitale omnibus: detyrimet për sistemet me rrezik të lartë të listuara në Shtojcën III tani zbatohen nga 2 dhjetori 2027, dhe ato për sistemet që janë komponentë sigurie të produkteve të rregulluara sipas Shtojcës I nga 2 gushti 2028. Propozimi i veçantë për një Direktivë për Përgjegjësinë ndaj IA-së është tërhequr, kështu që përgjegjësia për dëmin e shkaktuar nga një sistem i IA-së vazhdon të rregullohet nga rregullat e zakonshme holandeze mbi kontratën dhe deliktet dhe nga regjimi evropian i përgjegjësisë ndaj produktit.
Për një organizatë të bazuar në të dhëna, pasoja praktike është se analiza e GDPR-së mbetet kufizimi detyrues sot, ndërsa Akti i Inteligjencës Artificiale përcakton se çfarë dokumentacioni, testimi dhe mbikëqyrjeje njerëzore do t'i duhet të njëjtit sistem para fundit të dekadës. Ndërtimi i dy ushtrimeve veçmas dyfishon punën; ndërtimi i tyre së bashku nuk e bën këtë. Udhëzuesit tanë për Aktin e BE-së për Inteligjencën Artificiale dhe për sistemet e Inteligjencës Artificiale me rrezik të lartë përcaktojnë klasifikimin dhe detyrimet në detaje.
Kërkesat në grup dhe dëmet: ana civile e rrezikut
Gjobat rregullatore nuk janë ekspozimi i vetëm, dhe në Holandë ato mund të mos jenë më të mëdhatë. Wet afwikkeling massaschade in collectieve actie (WAMCA) lejon një fondacion ose shoqatë që përmbush kërkesat strikte të qeverisjes dhe financimit për të ngritur një padi kolektive për dëmshpërblim në emër të një grupi të përcaktuar, me një regjim përjashtimi për njerëzit me vendbanim në Holandë. Përpunimi i bazuar në të dhëna është një objektiv i dukshëm: një vendim i vetëm dizajni prek çdo përdorues në të njëjtën mënyrë, që është pikërisht homogjeniteti që i nevojitet një padie kolektive.
GDPR e përforcon këtë nga ana e vet. Ai i jep kujtdo që ka pësuar dëme materiale ose jomateriale si rezultat i një shkeljeje të drejtën për kompensim nga kontrolluesi ose përpunuesi, dhe lejon një organ jofitimprurës aktiv në fushën e mbrojtjes së të dhënave të ngrejë procedura në emër të subjekteve të të dhënave, në disa raste pa një mandat prej tyre. Gjykata e Drejtësisë ka konfirmuar se një shoqatë për mbrojtjen e konsumatorit mund të veprojë mbi këtë bazë.
Ekziston një kufi, dhe është i dobishëm për të pandehurit. Gjykata e Drejtësisë ka vendosur se një shkelje e GDPR-së nuk jep në vetvete të drejtën për kompensim: paditësi duhet të tregojë dëmin real dhe një lidhje shkakësore, megjithëse asnjë prag serioziteti nuk zbatohet për dëmin jomaterial pasi ai të jetë përcaktuar. Prandaj, shpërblimet individuale në praktikën holandeze kanë qenë modeste, por aritmetika e një klase prej qindra mijërash e ndryshon tërësisht pamjen. Artikulli ynë mbi kërkesat kolektive në rast dëmi masiv përshkruan se si zhvillohen këto procedura.
Kush është kontrolluesi kur të dhënat vijnë nga kudo?
Projektet e të dhënave të mëdha rrallë qëndrojnë brenda një organizate. Të dhënat pasurohen nga një ndërmjetës, mbahen nga një ofrues i shërbimeve cloud, pastrohen nga një agjenci analitike dhe futen në një model të ofruar nga një shitës, dhe secila prej këtyre marrëdhënieve duhet të karakterizohet saktë, sepse ndarja e roleve përcakton se kush mban cilin detyrim dhe kush i përgjigjet rregullatorit.
Një kontrollues përcakton qëllimet dhe mjetet e përpunimit; një përpunues vepron vetëm sipas udhëzimeve të dokumentuara të kontrolluesit. Kur dy ose më shumë palë përcaktojnë bashkërisht qëllimet dhe mjetet, ato janë kontrollues të përbashkët dhe duhet të përcaktojnë përgjegjësitë e tyre përkatëse në një marrëveshje, në veçanti për dhënien e informacionit dhe për trajtimin e kërkesave nga individë, të cilët në çdo rast mund të ushtrojnë të drejtat e tyre kundër secilit prej tyre. Etiketa e përdorur në kontratë nuk është vendimtare: ajo që ka rëndësi është se kush vendos në të vërtetë pse dhe si përpunohen të dhënat. Një furnizues që rezervon të drejtën për të përdorur të dhënat tuaja për të përmirësuar produktin e vet, në atë masë, është bërë kontrollues për qëllimet e veta, pavarësisht se si e quan marrëveshja.
Dy klauzola në kontratat e furnizuesit meritojnë vëmendje të veçantë në një kontekst të inteligjencës artificiale. E para është ajo që i lejon ofruesit të përdorë përmbajtjen e klientit për trajnim ose për përmirësimin e shërbimit; nëse është e pranishme, ju po i zbuloni të dhënat personale një kontrolluesi tjetër dhe ju nevojitet një bazë dhe një njoftim për atë zbulim. E dyta është klauzola e nën-përpunuesit, sepse ofruesit e modelit shpesh mbështeten në furnizues të tjerë dhe në infrastrukturë jashtë Zonës Ekonomike Evropiane, gjë që vë në lojë rregullat e transferimit. Një marrëveshje përpunimi që mbulon lëndën e kërkuar, por nuk përshkruan se çfarë ndodh në të vërtetë me të dhënat është pak e dobishme në një hetim.
Së fundmi, mos harroni se parimi i llogaridhënies ia vendos barrën e provës kontrolluesit. Nuk mjafton të jesh në përputhje me rregullat; duhet të jesh në gjendje ta demonstrosh këtë, me të dhëna, vlerësime dhe marrëveshje që përputhen me sistemet ashtu siç janë ndërtuar në të vërtetë.
Çfarë duhet të vendosni përpara se të fillojë projekti tjetër
Pajtueshmëria për të dhënat e mëdha ndërtohet në fazën e projektimit, sepse rregullorja kërkon mbrojtje të të dhënave që nga projektimi dhe si parazgjedhje: masat e duhura teknike dhe organizative duhet të integrohen në vetë përpunimin, dhe vetëm të dhënat personale të nevojshme për secilin qëllim specifik mund të përpunohen si parazgjedhje. Përshtatja e të dhënave është e kushtueshme dhe zakonisht e paplotë.
Pesë gjëra bëjnë diferencën në praktikë. Mbani një regjistër të aktiviteteve të përpunimit që në fakt përshkruajnë rrjedhat e të dhënave pas secilit model dhe jo departamentet që i zotërojnë ato. Vendosni dhe shkruani bazën ligjore për secilin operacion përpunimi, duke përfshirë përpunimin e mëtejshëm të përfshirë në trajnim, dhe mbani vlerësimin e interesave legjitime me të. Kryeni vlerësimin e ndikimit përpara se të mblidhen të dhënat dhe konsultohuni me autoritetin mbikëqyrës aty ku rreziku i mbetur mbetet i lartë. Vendosni një marrëveshje për përpunimin e të dhënave me çdo furnizues që prek të dhënat, duke përfshirë ofruesit e modelit ose platformës, dhe kontrolloni se çfarë u lejohet të bëjnë me të dhënat tuaja për qëllimet e tyre; kërkesat janë përcaktuar në udhëzuesin tonë për marrëveshjen e përpunimit të të dhënave . Dhe kontrolloni se ku shkojnë të dhënat: transferimet jashtë Zonës Ekonomike Evropiane kanë nevojë për një mekanizëm transferimi sipas Kapitullit V të rregullores dhe një vlerësim të ndikimit të transferimit, dhe pozicioni i vendeve të treta individuale mund të ndryshojë.
Mbi të gjitha, sigurohuni që njerëzit që ndërtojnë modelet dhe njerëzit që vlerësojnë rrezikun të punojnë në të njëjtin dokument. Themelet e vetë rregullores janë përmbledhur në përmbledhjen tonë të Rregullores së Përgjithshme për Mbrojtjen e të Dhënave , dhe pyetjet specifike që ngrihen nga vendosja e të dhënave personale në një sistem të IA-së, nga vendimmarrja e automatizuar deri te të drejtat e personave të prekur, trajtohen në artikullin tonë shoqërues mbi GDPR-në dhe IA-në në Holandë.
Disa pyetje të zakonshme
Cilën bazë ligjore duhet të përdorim për trajnimin e një modeli të inteligjencës artificiale?
Në shumicën e mjediseve tregtare, përgjigjja është interesi legjitim, i mbështetur nga një vlerësim me shkrim që mbulon interesin, domosdoshmërinë dhe ushtrimin e balancimit. Pëlqimi është i preferueshëm kur të dhënat janë të ndjeshme ose përdorimi do t'i habiste personat e interesuar, por duhet të jetë vërtet i lirë dhe i anulueshëm, gjë që është e vështirë të organizohet për një set trajnimi. Domosdoshmëria për një kontratë pothuajse kurrë nuk mbulon zhvillimin e modelit, sepse trajnimi nuk është ajo që kërkoi klienti. Cilado qoftë baza që zgjidhni, regjistrojeni atë para se të fillojë përpunimi: zgjedhja e një baze në mënyrë retrospektive trajtohet si mungesë baze fare.
A zbatohet ende GDPR nëse i anonimizojmë të dhënat më parë?
Vetëm nëse anonimizimi funksionon vërtet. Të dhënat janë anonime kur riidentifikimi nuk është më i mundur në mënyrë të arsyeshme për askënd, duke marrë parasysh të gjitha mjetet që ka të ngjarë të përdoren dhe të dhënat e tjera që mund të kombinohen me to. Heqja e emrave, zëvendësimi i identifikuesve me hash ose grumbullimi në grupe të vogla zakonisht nuk e përmbush atë standard dhe rezultati janë të dhëna të pseudonimizuara, të cilat i nënshtrohen plotësisht rregullores. Kur anonimizimi është baza për trajtimin e një projekti si jashtë fushëveprimit, ky përfundim duhet të testohet dhe dokumentohet, dhe të rishikohet sa herë që ndryshon të dhënat.
A mund të mbështetemi në përjashtimin e hulumtimit për të ripërdorur të dhënat e klientëve?
Rrallë. Përpunimi i mëtejshëm për qëllime shkencore ose statistikore trajtohet si i pajtueshëm me qëllimin origjinal, por përjashtimi synon kërkimin e kryer sipas standardeve të njohura metodologjike dhe i nënshtrohet mbrojtjeve të tilla si pseudonimizimi dhe kufizimet e aksesit. Zhvillimi i produktit ose përmirësimi i modelit i kryer nga një palë tregtare për përfitimin e saj nuk bëhet kërkim sepse përfshin shkencën e të dhënave. Nëse testi i përputhshmërisë nuk përmbushet në vetvete, ju nevojitet një bazë e re ligjore dhe, në shumicën e rasteve, informacion i ri për individët e interesuar.
Çfarë ndodh nëse dikush tërheq pëlqimin pasi një model është trajnuar
Tërheqja hyn në fuqi për të ardhmen dhe nuk e bën në mënyrë retrospektive përpunimin e mëparshëm të paligjshëm, por do të thotë që të dhënat nuk mund të përdoren më mbi këtë bazë. Praktikisht, kjo kërkon aftësinë për të hequr individin nga grupi i trajnimit dhe nga dyqanet e veçorive dhe regjistrat, dhe për të ritrajnuar ose për të siguruar që modeli nuk pasqyron më të dhënat e atij personi aty ku mund të tregohet se e bën këtë. Kjo është një nga arsyet pse pëlqimi është një bazë e vështirë për trajnimin e modelit, dhe është një pyetje që ia vlen t'i përgjigjemi në fazën e projektimit dhe jo pasi të mbërrijë kërkesa e parë.
Si funksionon Law and More mund të ndihmojë
Law and More këshillon organizatat holandeze dhe ndërkombëtare në aspektin e mbrojtjes së të dhënave të analizave dhe inteligjencës artificiale: përzgjedhjen dhe dokumentimin e një baze ligjore, kryerjen e vlerësimeve të interesave legjitime dhe vlerësimeve të ndikimit, hartimin e deklaratave të privatësisë dhe marrëveshjeve të përpunimit që i mbijetojnë shqyrtimit, përgjigjen ndaj Autoriteit Persoonsgegevens dhe mbrojtjen e pretendimeve të ngritura nga individë ose nga fondacione përfaqësuese. Nëse po planifikoni një projekt të bazuar në të dhëna ose një rregullator ka qenë tashmë në kontakt me ne, ne jemi të lumtur ta shqyrtojmë dosjen me ju.
Si funksionon Law & More mund t'ju ndihmojë me këtë është shpjeguar në faqen tonë avokat i IT-së faqe.
